Termenele NIS2 în România: ce a expirat și ce curge acum

Actualizat: 02.10.2026 · ~6 min de citit

Termenul general de notificare și înregistrare la DNSC a expirat în septembrie 2025. Obligațiile de după înregistrare au însă termene relative, care curg de la decizia DNSC emisă pentru fiecare entitate, așa că o firmă înregistrată mai târziu are încă termene în curs. Mai jos găsești ambele tipuri, cu sursa fiecăruia.

Date fixe din calendar

Data	Ce s-a întâmplat
10 iulie 2025	Intră în vigoare Legea 124/2025, care aprobă și modifică OUG 155/2024
20 august 2025	Intră în vigoare Ordinul DNSC 1/2025 (notificare și înregistrare) și Ordinul DNSC 2/2025 (metodologia de evaluare a riscului)
Septembrie 2025	Expiră termenul de notificare și înregistrare la DNSC: 30 de zile de la intrarea în vigoare a Ordinului DNSC 1/2025

Termene care curg individual

După ce DNSC emite decizia de identificare și înregistrare, fiecare entitate are propriul calendar:

Termen	Obligație
30 de zile de la comunicarea deciziei DNSC	Desemnarea Responsabilului NIS (art. 14 alin. 3)
60 de zile de la decizia de înregistrare	Evaluarea nivelului de risc, după metodologia din Ordinul DNSC 2/2025 (art. 18 alin. 6)
60 de zile de la evaluarea de risc	Prima autoevaluare a maturității măsurilor, asumată de conducere (art. 18 alin. 7)
30 de zile de la autoevaluare	Planul de remediere trimis la DNSC (doar entitățile esențiale)
12 luni de la desemnare	Formarea de specialitate a Responsabilului NIS (entitățile esențiale)
Anual	Reînnoirea autoevaluării de maturitate
Cel puțin o dată la 3 ani	Actualizarea evaluării de risc, sau mai devreme după incidente ori schimbări majore

Diferențele dintre entitățile esențiale și cele importante sunt explicate în ghidul Entitate esențială sau importantă?

Termenele de raportare a incidentelor

Termenele se calculează din momentul în care organizația ia cunoștință de un incident semnificativ:

• 24 de ore: avertizare timpurie către DNSC;
• 72 de ore: notificarea incidentului, cu o primă evaluare;
• cel mult o lună de la notificare: raportul final.

Pentru o firmă fără procedură scrisă, 24 de ore sunt puțin. Trebuie stabilit dinainte cine decide dacă incidentul e semnificativ, cine trimite avertizarea și pe ce canal. Detaliile sunt în ghidul despre raportarea incidentelor.

Ce faci dacă ai ratat înregistrarea

• Verifică încadrarea. Folosește simulatorul NIS2 sau pagina Cine are nevoie de NIS2.
• Notifică DNSC cât mai repede. Termenul general a expirat, dar obligația de notificare rămâne, iar termenele relative de mai sus încep abia după decizia DNSC.
• Pregătește-te pentru calendarul care urmează. După decizie ai 30 de zile pentru Responsabilul NIS și 60 de zile pentru evaluarea de risc. E bine să pornești pregătirea înainte de decizie.
• Documentează ce faci. Dovezile demersurilor de conformare contează în relația cu autoritatea.

Dacă vrei să știi unde se află firma ta în acest calendar, cere o evaluare gratuită: îți spunem ce termene se aplică organizației tale și în ce ordine să le abordezi. Toți pașii sunt în ghidul de conformitate NIS2.